。

这些类型的攻击不仅能够导致服务中断#xff0c;还可能对公司的声誉及财务状况产生不利影响。

本文旨在通过一个案例来深入…

在信息安全领域拒绝服务攻击DoS与分布式拒绝服务攻击DDoS已成为企业面临的重要挑战之一。

这些类型的攻击不仅能够导致服务中断还可能对公司的声誉及财务状况产生不利影响。

本文旨在通过一个案例来深入探讨一次拒绝服务攻击背后的原因、它所带来的具体影响以及由此触发的一系列网络优化措施。

希望通过这种方式我们可以更好地理解如何预防和应对这类安全威胁。

复现环境搭建

在欧拉操作系统环境下我们将采用Docker容器化技术对Nginx服务进行部署以此来模拟实际生产环境中的业务系统运行状态。

docker

192.168.31.105-S参数表示设置TCP协议的SYN

-p:

Linux主机发起模拟请求之后目标业务服务器IP地址192.168.31.105的命令执行效率以及系统资源访问速度显著下降。

使用sar查看CPU占用

1采用sar命令以1秒为时间间隔对每秒收发的报文数(PPS)及每秒传输的字节数(BPS)进行监控。

如下图所示

使用tcpdump抓包

我们将采用tcpdump工具进行深入调查。

在受影响服务器的终端上执行如下tcpdump

ens18

89命令后通过观察到的Flags[S]标志可以确认这些都是SYN同步序列编号请求包。

大量此类SYN包的存在强烈指示了一次正在进行中的SYN

通过执行如下命令发现大量的SYN_RECV状态的连接如下图所示

netstat

客户端向服务器发送一个SYN包请求建立连接。

服务器响应一个SYNACK包表示同意建立连接。

客户端再发送一个ACK包完成连接建立。

SYNFlood

请求包但不完成后续的ACK步骤。

服务器在收到每个SYN请求后都会分配资源并保留一个半打开的连接等待客户端的ACK。

当攻击者发送大量的SYN请求时服务器的连接表会迅速填满导致合法用户的连接请求被拒绝。

解决方案

Flood攻击的能力可以通过调整TCP内核参数来优化网络设置。

以下是一些关键参数和优化建议

启用SYN

/proc/sys/net/ipv4/tcp_syncookiesnet.ipv4.tcp_max_syn_backlog

增加半连接队列的大小以容纳更多的半打开连接。

默认的半连接容量只有256

echo

/proc/sys/net/ipv4/tcp_max_syn_backlognet.core.somaxconn

echo

/proc/sys/net/core/somaxconnnet.ipv4.tcp_fin_timeout

减少TCP连接在FIN_WAIT状态下的超时时间释放资源。

默认是60S

echo

/proc/sys/net/ipv4/tcp_fin_timeoutnet.ipv4.tcp_tw_reuse

允许重用TIME_WAIT状态的连接以提高连接复用率。

默认值是2

echo

/proc/sys/net/ipv4/tcp_tw_reusenet.ipv4.tcp_synack_retries

对于远端的连接请求SYN内核会发送SYNACK数据包以确认收到上一个SYN连接请求包。

这是所谓的三次握手机制的第二个步骤。

这里决定内核再放弃之前所发送出的SYNACK数目。

不应该大于255默认值是5对应于180秒左右时间。

echo

/proc/sys/net/ipv4/tcp_synack_retries要使这些更改在重启后生效可以将参数添加到

/etc/sysctl.conf

nftables来限制SYN请求的数量。

例如可以限制每个IP地址的连接速率

iptables

。

通过调整TCP内核参数和结合防火墙策略可以有效提高系统抵御SYN

推荐阅读